Mengapa menambah awalan Azure VPN memutuskan sambungan

Awalan yang ditambah pada objek Azure yang salah menghasilkan sambungan yang melaporkan Connected dan tidak memajukan apa-apa, dan itulah jenis kesilapan paling mahal dalam tindanan ini. Tiga sumber terlibat dan hanya satu daripadanya memiliki ruang alamat jauh: get laluan rangkaian maya, get laluan rangkaian tempatan yang menerangkan bahagian jauh, dan sambungan yang menyatukan kedua-duanya. Awalan itu milik get laluan rangkaian tempatan, sambungan perlu dibina semula agar perubahan berkesan, dan get laluan itu sendiri biasanya dibiarkan. Urutannya tidak boleh dirunding, dan portal hanya menunjukkan sebahagian daripadanya.

Tiga objek, satu daripadanya memegang awalan

Ruang alamat rangkaian maya menjawab soalan lain: apa yang hidup di dalam Azure. Menambah awalan jauh di situ tidak menghalakan trafik ke sana, ia hanya meluaskan ruang yang platform anggap miliknya, yang boleh bertembung dengan julat jauh sebenar. Get laluan rangkaian tempatan ialah objek yang memegang awalan jauh, dan sambungan merujuk kedua-dua get laluan serta kunci yang dikongsi terlebih dahulu.

Ada tempahan ketiga yang perlu diingat. GatewaySubnet mengehoskan contoh get laluan terurus, mesti membawa nama itu dengan tepat, dan untuk SKU bukan Basic dijangka sekurang-kurangnya /27.

Tiada apa-apa lagi yang tergolong dalam subnet itu, dan perubahan awalan tiada sebab untuk menyentuhnya. Awalan yang tiada dalam get laluan rangkaian tempatan tidak boleh dicapai walau apa pun kata status sambungan, kerana get laluan hanya menawarkan awalan yang dimaklumkan kepadanya ketika berunding terowong. Itulah sebabnya simptomnya tidak simetri: terowong naik, persatuan keselamatan baik, dan satu subnet tidak pernah muncul dalam pemilih trafik. Jika satu julat jauh tiada sementara jirannya berfungsi, berhenti melihat terowong dan baca get laluan rangkaian tempatan.

Mengapa sambungan yang dibuang

Objek sambungan memakukan konfigurasi yang dirundingkan sepanjang hayatnya. Oleh itu prosedur berdokumen membuang sambungan dahulu, mengemas kini get laluan rangkaian tempatan, kemudian mencipta semula sambungan dengan kunci kongsi yang sama. Contoh get laluan tidak dibina semula untuk perubahan awalan sahaja, yang mengehadkan gangguan kepada pembongkaran sambungan dan bukan penggunaan semula get laluan.

Pemadaman itu ialah gangguannya, jadi anggapnya sebagai perubahan berjadual dengan permulaan dan pengakhiran yang dijangka dan bukan suntingan pantas. Dalam PowerShell urutannya pendek: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, kemudian Set-AzLocalNetworkGateway dengan -AddressPrefix tatasusunan baharu, kemudian New-AzVirtualNetworkGatewayConnection dengan -SharedKey yang sama dan get laluan yang sama. Menggunakan semula kunci itu penting, kerana bahagian jauh tidak dikonfigurasikan semula dan kunci baharu bermakna penyelarasan dengan pemilik peranti jauh. Jika pasukan lain mengendalikan peranti itu, persetujui tetingkap masa dengan mereka sebelum anda membuang apa-apa.

Bila get laluan itu sendiri perlu dibina semula

Jawapan kedua yang berlegar tentang masalah ini mengatakan get laluan mesti dicipta semula dan kunci ditukar semula. Itu betul untuk set operasi yang berbeza: menukar jenis get laluan atau SKU, berpindah antara point-to-site dan site-to-site, atau membaiki get laluan yang konfigurasinya sendiri salah. Perubahan itu memang mengubah sumber get laluan, jadi pembinaan semula memang diperlukan.

Get laluan yang dicipta untuk point-to-site tidak boleh diberi sambungan site-to-site begitu sahaja. Konfigurasi point-to-site mesti dibuang dan get laluan dicipta semula, yang juga menghasilkan kunci kongsi baharu dan pakej klien baharu.

Pakej point-to-site wajar catatan sendiri kerana ia luput. Portal menjana fail berumur pendek, jadi pendekatan praktikal ialah memuat turunnya sekali dan mengedarkannya bersama sijil klien dan bukannya menghantar pautan portal kepada pengguna yang akan mati apabila mereka mengklik. Bagi soalan awalan, tiada satu pun daripada ini terpakai. Mengekalkan kedua-dua prosedur berasingan ialah keseluruhan disiplin: awalan ialah perubahan pada peringkat sambungan, dan sifat get laluan ialah perubahan pada peringkat get laluan.

Baca keadaan, bukan lencana portal

Baca keadaan daripada sumber dan bukan daripada lencana di portal. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 mengembalikan ConnectionStatus bersama pembilang bait masuk dan keluar, dan pembilang itulah yang memisahkan terowong yang bersambung tetapi tidak membawa apa-apa daripada yang tidak pernah terbentuk.

Pembilang yang berhenti meningkat di tengah-tengah pemindahan menunjuk ke laluan dan bukan ke pengesahan. Pembilang yang tidak bergerak langsung menunjuk ke set awalan atau kunci kongsi.

Pemasa menjelaskan satu kelas pemutusan yang disalah atributkan kepada VPN. Pengimbang beban Azure menutup aliran melahu selepas tamat masa yang dikonfigurasikan, empat minit secara lalai ketika nota ini ditulis dan boleh dinaikkan, jadi pelayan OpenVPN pada VM tanpa keepalive boleh terputus setiap beberapa minit sementara segala-galanya kelihatan sihat. Get laluan yang didaur semula oleh platform juga boleh mengganggu sambungan VNet ke Web App, dan kegagalan itu berada di sebelah platform dan bukan dalam konfigurasi klien. Petunjuknya ialah sama ada pemutusan mengikut selang tetap atau perubahan yang anda buat.

Simpan ketiga-tiga objek dan nilainya dalam satu rekod: ruang alamat rangkaian maya, senarai awalan get laluan rangkaian tempatan, dan rujukan kunci kongsi sambungan. artikel PowerShell site-to-site mendokumenkan arahan get laluan rangkaian tempatan dan urutan yang sepatutnya. Membandingkan perubahan awalan dengan ingatan ialah cara terowong yang berfungsi dibina semula dua kali.

Kemudian sahkan mengikut urutan anda mengubah: get laluan rangkaian tempatan menunjukkan senarai awalan baharu, sambungan kembali Connected, dan pembilang bergerak apabila anda menghantar trafik ke hos dalam julat baharu. Jika langkah ketiga gagal sementara dua yang pertama lulus, bahagian jauh belum menerima pemilih trafik baharu dan peranti jauh memerlukan entri fasa 2 yang sepadan. Itu perbualan dengan hujung lain terowong, bukan perubahan lain dalam Azure.